GDPR-trygg hosting: sjekklista leverandøren din bør kunne svare på

Først: få rollene på plass

Etter personvernforordningen er du nesten alltid behandlingsansvarlig for brukernes data, og hostingleverandøren er databehandler som handler på dine instrukser (artikkel 28). Det har to umiddelbare konsekvenser: du må ha en databehandleravtale på plass før leverandøren behandler personopplysninger, og du er ansvarlig for at leverandøren er egnet. «Vi bruker en stor leverandør» er ikke et forsvar. «Vi vurderte leverandøren mot disse kriteriene» er det.

De tolv spørsmålene

1. 1.Hvor lagres dataene fysisk? Et land, ikke et regionsnavn fra markedsavdelingen.
2. 2.Hvem eier selskapet, og hvor er det registrert? Det avgjør hvilke rettslige pålegg det kan bli møtt med.
3. 3.Finnes databehandleravtalen uten forhandling, og navngir den underleverandørene?
4. 4.Hva er den fullstendige lista over underleverandører, og hvordan varsles endringer?
5. 5.Forlater noen personopplysninger EØS – også i backup, logger og støtteverktøy?
6. 6.Hvor lenge lagres tilgangslogger, og inneholder de IP-adresser? En IP-adresse er en personopplysning.
7. 7.Hvilken analyse kjører som standard, og legges det noe inn i sidene mine?
8. 8.Hvor ligger backupene, og kan de gjenopprettes innenfor samme jurisdiksjon?
9. 9.Krypteres data under overføring, og hva skjer med dem i ro?
10. 10.Hvordan får jeg full eksport, og hvordan får jeg bekreftet sletting?
11. 11.Hvordan og hvor raskt varsles jeg om avvik? Du har 72 timer etter artikkel 33; en databehandler som melder på dag fire har brukt opp fristen din.
12. 12.Hvem hos leverandøren kan teknisk lese dataene mine, og hva hindrer det?

De to spørsmålene folk glemmer

Loggene dine er personopplysninger

Tilgangsloggene til en webserver inneholder IP-adresser, og en IP-adresse er en personopplysning – det avgjorde EU-domstolen i Breyer-saken. Da er lagringstid på logger en behandlingsbeslutning, ikke en driftsdetalj. Spør om tallet. Er svaret «for alltid», er det et funn.

På Snoat kommer trafikkstatistikken fra vår egen proxys tilgangslogg, som strømmes til backend over et internt Docker-nett. Backend beriker forespørselen, kaster IP-adressen og skriver bare ferdige aggregater til databasen. Ingen tredjepartsleverandør er i veien, og ingen sporingskode legges inn i prosjektet ditt – som også betyr at de besøkende ikke har noe å samtykke til for vår måling.

Databasen er som regel den reelle eksponeringen

Team flytter frontenden til en europeisk leverandør, føler seg tryggere, og lar databasen – der navn, e-postadresser og ordrehistorikk faktisk ligger – stå i en amerikansk tjeneste. Applaget er den minste halvparten av problemet. Snoat kjører en selvhostet Supabase på samme norske infrastruktur, så innlogging og relasjonsdata ligger i samme jurisdiksjon som appen som leser dem.

Overføring til tredjeland, kort fortalt

Går personopplysninger til et land utenfor EØS, gjelder kapittel V i forordningen. Da trenger du en beslutning om tilstrekkelig beskyttelsesnivå, eller standard personvernbestemmelser pluss en overføringsvurdering. EU–US Data Privacy Framework gir en slik vei for sertifiserte amerikanske mottakere, men det er den tredje ordningen i sitt slag på et tiår – Safe Harbour og Privacy Shield ble begge kjent ugyldige – og den er utfordret rettslig. Å bygge en arkitektur som forutsetter at dagens ordning står, er et veddemål, og det er verdt å kalle det det.

Alternativet er ikke eksotisk: forlater dataene aldri EØS, slår ikke kapittel V inn, og overføringsvurderingen er én linje i stedet for et prosjekt.

Hva vi kan og ikke kan påstå om oss selv

Presisjon er mer verdt enn et merke her, så: kildekoden din, applikasjonsdataene, databasen og trafikkloggene for appene dine ligger på norsk infrastruktur driftet av Frostbyte Group AS. To eksterne tjenester brukes til plattformens egen drift, ikke til brukertrafikken din – en e-postleverandør for konto- og driftspost, og Stripe for betaling dersom du abonnerer. Begge er navngitt, og ingen av dem står i forespørselsveien til applikasjonen din.

• ✓Applikasjonsdata, database og trafikklogger på norsk infrastruktur
• ✓Statistikk utledet av vår egen proxy-logg, IP kastet før lagring
• ✓Ingen sporingskode legges i prosjektet ditt
• ✓Rad-nivå sikkerhet i databasen, så en klient bare kan lese sine egne rader
• ✕Et løfte om at du blir etterlevende av å bruke oss – det kan ingen leverandør selge

Ofte stilte spørsmål

Er Vercel GDPR-kompatibelt?

Vercel publiserer databehandleravtale og tilbyr europeiske regioner, og mange norske selskaper bruker tjenesten lovlig. Det åpne spørsmålet er ikke papirene, men jurisdiksjonen: en amerikansk-eid leverandør kan omfattes av amerikanske pålegg som CLOUD Act uavhengig av hvilken region arbeidslasten kjører i. Om den restrisikoen er akseptabel for dine data, er en vurdering du gjør som behandlingsansvarlig – og i regulerte eller offentlige anskaffelser avgjøres den ofte av regelverket framfor av preferanse.

Trenger jeg DPIA for å hoste en nettside?

Vanligvis ikke. En vurdering av personvernkonsekvenser kreves når behandlingen sannsynligvis medfører høy risiko for enkeltpersoner – særlige kategorier i stor skala, systematisk overvåking, profilering med rettslig virkning. En ordinær markedsside med kontaktskjema kvalifiserer ikke. En pasientportal gjør det.

Slipper jeg cookie-banner med norsk hosting?

Nei. Krav om samtykke til informasjonskapsler følger av ekomloven og ePrivacy, og handler om å lagre informasjon på den besøkendes enhet – ikke om hvor serveren står. Det en førsteparts, logg-basert måling unngår, er behovet for samtykke til selve målingen, fordi ingenting lagres på enheten og ingen tredjepart mottar dataene.

Hvor ligger backupene?

På samme norske infrastruktur. En backup er en kopi av personopplysninger, og en backup i en annen jurisdiksjon er en overføring – å spørre om det er helt riktig.